Treci la conținut
Centoculus
ro

Alertă de securitate · Critică

Citrix NetScaler ADC și Gateway: defecte critice de memorie permit refuzul serviciului (CVE-2026-120868)

· 4 minute de citit · Centoculus Security Team

Cunoscută din

Afectate: NetScaler ADC și NetScaler Gateway înainte de 14.1-73.57 și 13.1-64.39; NetScaler ADC 14.1-FIPS înainte de 14.1-73.58; 13.1-FIPS/13.1-NDcPP înainte de 13.1-37.293

Ce s-a întâmplat

Pe 13 noiembrie 2026, Citrix a publicat actualizări de securitate pentru NetScaler ADC și NetScaler Gateway (avizul CTX697305). Cea mai relevantă vulnerabilitate este CVE-2026-120868 (CVSS 9.3). Este o depășire de memorie în procesarea pachetelor, care poate duce la un comportament imprevizibil sau eronat ori la un refuz al serviciului (DoS). Potrivit avizului, afectează toate instalările NetScaler ADC și NetScaler Gateway, indiferent de configurație.

Aceeași versiune remediază încă opt defecte critice de memorie. Fiecare dintre acestea contează doar dacă este configurată o anumită funcție:

  • CVE-2026-107407 (CVSS 9.3): depășire de memorie în traficul SMPP. Afectează serverele virtuale Load Balancing sau Content Switching de tip SMPP.
  • CVE-2026-107408 (CVSS 9.3): corupere de memorie în DNS / DNS-over-HTTPS. Afectează aparatele configurate pentru echilibrarea sarcinii DNS și rezolvarea recursivă DNS.
  • CVE-2026-107409 (CVSS 9.3): corupere de memorie în DNS-over-HTTPS. Afectează echilibrarea sarcinii DNS prin HTTPS.
  • CVE-2026-107410 (CVSS 9.3): depășire de memorie în NetScaler Push. Afectează serverele virtuale Load Balancing de tip PUSH.
  • CVE-2026-107412 (CVSS 9.5): mai multe depășiri de memorie. Afectează aparatele configurate ca server virtual Gateway sau AAA.
  • CVE-2026-107415 (CVSS 9.3): depășire de memorie în autentificarea Email OTP. Afectează configurațiile cu o acțiune Email.
  • CVE-2026-111344 (CVSS 9.3): depășire de memorie în Endpoint Analysis (EPA/EPAS). Afectează serverele virtuale VPN sau AAA care folosesc Endpoint Analysis.
  • CVE-2026-120864 (CVSS 9.3): depășire de memorie în ICA proxy. Afectează serverele virtuale Gateway VPN, AAA sau CR (tip HDX).

Toate pot duce la un comportament imprevizibil sau la un refuz al serviciului. La momentul publicării, Citrix a precizat că nu cunoaște exploatări active pentru aceste vulnerabilități. CISA nu le listează ca fiind exploatate.

Tot în aceeași zi, Citrix a remediat și trei defecte la alte produse, fiecare în avizul propriu:

  • CVE-2026-120869 (CVSS 9.4): ocolire a autentificării în NetScaler Console. Remediată în 14.1-74.34 și versiunile ulterioare.
  • CVE-2026-118268: escaladare de privilegii la SYSTEM în Secure Access Client pentru Windows. Remediată în 26.11.1.6 și versiunile ulterioare.
  • CVE-2026-118269: escaladare de privilegii la root în Secure Access Client pentru Linux. Remediată în 26.10.4 și versiunile ulterioare.

Cine este afectat

Ești afectat de CVE-2026-120868 dacă rulezi NetScaler ADC sau NetScaler Gateway mai vechi decât aceste versiuni remediate:

  • NetScaler ADC și NetScaler Gateway 14.1: remediat în 14.1-73.57 și versiunile ulterioare
  • NetScaler ADC și NetScaler Gateway 13.1: remediat în 13.1-64.39 și versiunile ulterioare din ramura 13.1
  • NetScaler ADC 14.1-FIPS: remediat în 14.1-73.58 FIPS și versiunile ulterioare din ramura 14.1-FIPS
  • NetScaler ADC 13.1-FIPS și 13.1-NDcPP: remediat în 13.1-37.293 și versiunile ulterioare din ramura 13.1-FIPS și 13.1-NDcPP

Cele opt alte defecte din NetScaler ADC și Gateway se aplică doar dacă funcția menționată lângă ele este configurată. CVE-2026-120868 nu depinde de configurație, așa că fiecare aparat sub versiunile remediate trebuie actualizat.

Sistemele care nu rulează NetScaler nu sunt afectate: servere web obișnuite, servere de e-mail sau panouri de găzduire. Dacă folosești doar NetScaler Console sau Secure Access Client, consultă avizele separate Citrix pentru aceste produse.

Ce să faci acum

  1. Fă o listă cu toate instanțele NetScaler ADC și NetScaler Gateway, inclusiv perechile HA, instanțele VPX din cloud și aparatele pe care le administrezi pentru clienți.
  2. Salvează o copie de rezervă a configurației fiecărei instanțe (ns.conf) înainte de actualizare.
  3. Actualizează la 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS sau 13.1-37.293 (FIPS/NDcPP), sau la o versiune ulterioară din ramura ta. În perechile HA, actualizează mai întâi nodul secundar, treci comutarea pe nodul de rezervă, apoi actualizează fostul nod primar.
  4. După repornire, verifică dacă serverele virtuale sunt active și dacă autentificările Gateway, VPN și de autentificare funcționează.
  5. Dacă folosești NetScaler Console, actualizeaz-o la 14.1-74.34 sau o versiune ulterioară. Actualizează instalările Secure Access Client pe Windows (26.11.1.6) și Linux (26.10.4).
  6. Dacă nu poți actualiza imediat, limitează accesul la interfețele de management la rețele de încredere și urmărește aparatele pentru reporniri sau blocaje neașteptate până la instalarea actualizării.

Cum verifici dacă ești afectat

Verifică versiunea instalată în interfața grafică de management sau cu comanda CLI show ns version. Dacă versiunea este mai mică decât cea remediată pentru ramura ta, aparatul este vulnerabil la CVE-2026-120868. Pentru a vedea dacă se aplică și celelalte defecte, compară configurația cu condițiile de mai sus, de exemplu serverele virtuale SMPP sau PUSH, echilibrarea sarcinii DNS, serverele virtuale Gateway/AAA, Email OTP, Endpoint Analysis sau ICA proxy. Avizul CTX697305 al Citrix conține toate detaliile.

Surse

Mai multe surse (2)

Articole similare